Cuando una empresa entrega un contrato de fusión, un expediente de litigio o un dataset de clientes a un proveedor de traducción, está transfiriendo información que puede determinar el resultado de una negociación, la validez de un procedimiento legal o la reputación de la organización. La traducción confidencial RGPD no es un servicio premium reservado a las grandes corporaciones: es el estándar mínimo que cualquier empresa debería exigir antes de compartir documentación sensible con un tercero.
El problema es que la mayoría de los flujos de traducción en empresas medianas no han sido diseñados con seguridad por defecto: los documentos viajan por correo electrónico sin cifrar, los traductores freelance no firman acuerdos de confidencialidad, las herramientas de IA pública procesan y, en muchos casos, retienen el contenido que se les envía. Cada uno de esos puntos es un riesgo real, auditable por la autoridad de control y, en caso de incidente, una responsabilidad directa de quien externaliza el tratamiento de datos.
Este artículo descompone esos riesgos y establece los controles que cualquier departamento legal, de compliance, RR. HH., finanzas o M&A debería exigir a su proveedor de traducción de documentos sensibles antes de enviar un solo fichero.
Los riesgos reales en la traducción de documentos confidenciales
Los incidentes de seguridad en servicios de traducción raramente aparecen en titulares, pero son más frecuentes de lo que los equipos de compliance suelen asumir. La cadena de riesgo en un proyecto de traducción de documentos sensibles tiene múltiples puntos débiles, y cada uno de ellos puede convertirse en un incidente notificable a la AEPD bajo el Reglamento General de Protección de Datos (RGPD) si no se gestionan correctamente.
Los vectores de riesgo más habituales que detectamos al auditar flujos de traducción en empresas son:
- Envío por canales inseguros: documentos confidenciales enviados por correo electrónico sin cifrado de extremo a extremo o por plataformas de intercambio de ficheros de uso genérico (Dropbox, WeTransfer) sin acuerdo de procesamiento de datos.
- Proveedores sin controles formales: traductores o agencias que no tienen política de seguridad documentada, no firman NDA ni DPA y no pueden demostrar quién ha accedido al documento y cuándo.
- Uso de IA pública: herramientas como el ChatGPT estándar, DeepL Free o Google Translate retienen el contenido en sus servidores y pueden utilizarlo para mejorar sus modelos. Un contrato de M&A o un expediente médico procesado por estas herramientas constituye una transferencia de datos sin base legal.
- Falta de política de borrado: documentos almacenados en los sistemas del proveedor indefinidamente, sin fecha de borrado acordada y sin constancia de que el borrado se ha ejecutado.
- Subencargados no declarados: la agencia de traducción subcontrata a freelances o a otras agencias sin comunicarlo al cliente y sin que esos subencargados tengan los mismos compromisos de seguridad.
- Accesos no registrados: imposibilidad de saber cuántas personas han accedido al documento, desde qué dispositivos y en qué momento durante el proceso de traducción.
¿Qué dice el RGPD sobre la externalización de la traducción?
Cuando una empresa entrega documentación que contiene datos personales a una agencia de traducción, esta actúa como encargada del tratamiento en los términos del artículo 28 del RGPD. Esto exige la formalización de un Acuerdo de Procesamiento de Datos (DPA) que regule las instrucciones de tratamiento, las medidas de seguridad, la política de subencargados y los plazos de borrado. Sin ese DPA, la transferencia no tiene base legal y el responsable —la empresa que externaliza— asume la responsabilidad íntegra ante la autoridad de control. La Agencia Española de Protección de Datos (AEPD) ha publicado orientaciones específicas sobre los requisitos para los contratos con encargados del tratamiento.
Acuerdos formales: NDA y DPA como primer nivel de protección
Antes de compartir cualquier documento con un proveedor de cumplimiento RGPD traducción, los acuerdos formales son el primer control obligatorio, no un formalismo. Un NDA (Non-Disclosure Agreement) establece las obligaciones de confidencialidad del proveedor y las consecuencias legales de su incumplimiento. Un DPA (Data Processing Agreement) regula específicamente el tratamiento de datos personales conforme al RGPD y debe detallar cinco elementos mínimos:
- Objeto y naturaleza del tratamiento: qué datos se tratan, con qué finalidad y durante cuánto tiempo.
- Categorías de datos y de interesados: tipos de información personal incluida en los documentos (datos de empleados, clientes, partes en un litigio, etc.).
- Instrucciones de tratamiento: el encargado solo puede tratar los datos según las instrucciones documentadas del responsable, sin ninguna finalidad adicional.
- Medidas técnicas y organizativas: cifrado, control de accesos, pseudonimización, registro de actividades de tratamiento.
- Política de subencargados: lista de subprocesadores autorizados, con los mismos compromisos contractuales que el encargado principal.
En Translinguo Global, todos los proyectos de traducción confidencial RGPD incluyen NDA firmado antes de recibir ningún fichero y DPA estándar disponible para revisión del departamento legal del cliente. Si el proyecto lo requiere, trabajamos con el modelo de DPA del cliente. Puedes consultar más sobre nuestro enfoque en el artículo sobre traducción confidencial para empresas.
Control de accesos, cifrado y canales de transferencia seguros
El NDA y el DPA establecen el marco legal, pero la seguridad operativa depende de los controles técnicos que rodean al proceso de traducción de documentos sensibles. Un proveedor que firma todos los acuerdos formales pero transfiere los ficheros por correo sin cifrar y trabaja con herramientas de gestión de proyectos en la nube sin certificación de seguridad no ofrece garantías reales.
Los controles técnicos mínimos que cualquier agencia de traducción que gestione documentación sensible debe poder demostrar son:
- Transferencia cifrada: uso de portales seguros con cifrado TLS 1.2 o superior, o transferencia por SFTP para ficheros de gran volumen. Nunca por correo electrónico estándar para documentación de alta sensibilidad.
- Acceso por roles: solo los traductores asignados al proyecto acceden a los ficheros, con autenticación de doble factor y registro de acceso con timestamp.
- Almacenamiento cifrado: los documentos se almacenan cifrados en reposo (AES-256 o equivalente) en servidores ubicados en la Unión Europea o en jurisdicciones con decisión de adecuación bajo RGPD.
- Trazabilidad completa: log de auditoría que registra quién ha accedido a cada fichero, cuándo y desde qué dispositivo, disponible para el cliente en caso de auditoría.
- Borrado certificado: una vez finalizado el proyecto y pasado el periodo de retención acordado, borrado seguro de los ficheros con certificado de borrado si el cliente lo requiere.
¿Dónde deben estar alojados los datos de un proyecto de traducción confidencial?
Bajo el RGPD, los datos personales no pueden transferirse fuera del Espacio Económico Europeo salvo que exista una base legal adecuada: decisión de adecuación de la Comisión Europea, cláusulas contractuales tipo o normas corporativas vinculantes. En la práctica, esto significa que para documentación que contenga datos personales, el servidor donde se alojan los ficheros durante el proceso de traducción debe estar dentro de la UE o en un país con decisión de adecuación vigente. La lista actualizada de países con decisión de adecuación de la Comisión Europea es la referencia para verificar la situación de cada jurisdicción.
IA en traducción confidencial: cuándo es un riesgo y cuándo es segura
La adopción de herramientas de IA en la industria de la traducción es irreversible, pero su uso en proyectos de traducción confidencial RGPD requiere una distinción crítica que muchas empresas no hacen: no es lo mismo usar DeepL Free —donde el contenido se procesa en servidores externos y puede retener datos— que trabajar con modelos de IA desplegados en entornos privados o con APIs configuradas con retención de datos desactivada.
La siguiente tabla compara los tres escenarios más habituales en los que se utiliza IA para traducción, con su nivel de riesgo RGPD y las condiciones bajo las que cada opción es o no es aceptable para documentación sensible:
Tabla comparativa: IA pública vs entorno corporativo vs agencia con protocolos RGPD
| Escenario | Retención de datos | Base legal RGPD | Trazabilidad | Uso recomendado |
| IA pública (ChatGPT estándar, DeepL Free, Google Translate) | Sí (mejora de modelos) | Sin base legal | Ninguna | Nunca para datos personales o confidenciales |
| API de IA con retención desactivada (DeepL API Pro, Azure OpenAI) | No (si se configura correctamente) | Requiere DPA con proveedor | Limitada (logs de API) | Contenido de bajo-medio riesgo con DPA firmado |
| IA en entorno privado / on-premise | No | Tratamiento interno | Completa | Válida para cualquier nivel de sensibilidad |
| Agencia con protocolos RGPD + IA supervisada | No (protocolos contractuales) | DPA + NDA firmados | Completa con log de auditoría | Proyectos sensibles: contratos, M&A, RR. HH., legal |
En Translinguo Global, agencia de traducción oficial, cuando un proyecto de traducción M&A o documentación legal requiere herramientas de IA, trabajamos exclusivamente con APIs configuradas con data retention desactivada y DPA firmado con el proveedor tecnológico, o con entornos de procesamiento privado. El contenido nunca pasa por herramientas de IA pública. Puedes ver cómo estructuramos el cumplimiento RGPD en proyectos de traducción para empresas con más detalle.
Política de subencargados: quién más accede a tu documentación
Uno de los puntos que los departamentos de compliance pasan por alto con más frecuencia es la cadena de subencargados. Cuando una empresa contrata a una empresa de traducción, esa agencia puede subcontratar partes del proyecto a traductores externos, revisores, maquetadores o incluso a otra agencia especializada. Cada uno de esos subencargados accede a la documentación sensible, y el RGPD exige que cada eslabón de esa cadena tenga los mismos compromisos de seguridad que el encargado principal.
El artículo 28.4 del RGPD establece que el encargado del tratamiento no puede recurrir a otro encargado sin autorización previa del responsable, y que los subencargados deben estar sometidos a las mismas obligaciones que el encargado principal mediante contrato. En la práctica, esto significa que antes de enviar un expediente de traducción M&A o un contrato de RR. HH. a una agencia de traducción, debes saber:
- Si la agencia trabaja con freelances externos y bajo qué condiciones de confidencialidad.
- Si utiliza subagencias y si estas tienen sus propios DPA con la agencia principal.
- Si los traductores externos tienen acceso a los ficheros originales o solo a segmentos anonimizados.
- Si existe un registro de subencargados actualizado que la agencia puede facilitar al cliente.
- Si el cliente tiene derecho de veto sobre el uso de determinados subencargados para proyectos específicos.
Preguntas que debes exigir responder antes de compartir documentación sensible
La mejor forma de evaluar si un proveedor de traductores empresas está realmente preparado para gestionar traducción de documentos sensibles es hacer las preguntas correctas antes de firmar ningún contrato. Un proveedor con protocolos reales las responde con documentación; uno sin protocolos las evita con generalidades. Este es el bloque de preguntas que cualquier departamento legal o de compliance debería formular:
- ¿Firman NDA antes de recibir ningún fichero? ¿El NDA incluye penalizaciones explícitas por incumplimiento?
- ¿Tienen DPA estándar disponible para revisión? ¿Están dispuestos a firmar el DPA de nuestra empresa?
- ¿Cómo se transfieren los ficheros? ¿Usan portal seguro con cifrado TLS o SFTP? ¿Admiten correo electrónico estándar?
- ¿Dónde se almacenan los documentos durante el proceso? ¿En qué país están los servidores?
- ¿Qué herramientas de IA utilizan? ¿Tienen las APIs configuradas con data retention desactivada? ¿Pueden demostrarlo con documentación del proveedor tecnológico?
- ¿Quién tiene acceso al fichero? ¿El acceso es por roles y está registrado con timestamp?
- ¿Cuál es la política de retención y borrado? ¿Emiten certificado de borrado al finalizar el proyecto?
- ¿Tienen registro de subencargados? ¿Todos los subencargados tienen NDA y DPA firmados?
- ¿Disponen de log de auditoría exportable en caso de incidente o auditoría interna?
- ¿Tienen seguro de responsabilidad civil para incidentes de seguridad relacionados con proyectos de traducción?
¿Qué tipo de documentos requieren traducción confidencial RGPD obligatoriamente?
Cualquier documento que contenga datos personales —nombre, DNI, datos de salud, situación financiera, datos laborales, datos de menores— requiere que el proceso de traducción se encuadre dentro de los requisitos del RGPD. En la práctica, los tipos de documentos que con más frecuencia generan incidentes de seguridad en procesos de traducción son: contratos con datos de empleados o clientes, expedientes de litigio con datos de las partes, documentación de fusiones y adquisiciones con información estratégica y datos de terceros, informes de RR. HH. con evaluaciones individuales, registros médicos o de salud laboral, datasets de clientes para localización de plataformas digitales y cualquier documentación de due diligence en operaciones de M&A. Puedes ver los requisitos aplicables a la traducción legal para empresas multinacionales en nuestro artículo sobre el tema.
Checklist RGPD para proyectos de traducción confidencial
Un checklist operativo permite al departamento de compliance verificar que un proyecto de traducción confidencial RGPD cumple los requisitos legales antes de iniciar la transferencia de documentación. Estos son los controles que deben estar activos en cualquier proyecto de traducción de documentos sensibles gestionado por una agencia de traducción con protocolos formales:
- NDA firmado por la agencia antes de recibir ningún fichero
- DPA firmado con base en el artículo 28 del RGPD, con listado de subencargados
- Transferencia de ficheros por canal cifrado (portal seguro TLS o SFTP)
- Servidores de almacenamiento dentro del EEE o en país con decisión de adecuación vigente
- Control de accesos por roles con log de auditoría disponible
- Herramientas de IA con data retention desactivada o entorno privado (documentado por el proveedor tecnológico)
- Política de retención y borrado acordada por escrito, con plazo definido
- Certificado de borrado disponible al finalizar el proyecto si el cliente lo solicita
- Registro de subencargados actualizado, con confirmación de que todos tienen NDA y DPA firmados
- Procedimiento de notificación de incidentes en menos de 72 horas (requisito del artículo 33 del RGPD)
Este checklist es el mismo que aplicamos internamente en Translinguo Global para cualquier proyecto de traductor profesional con documentación sensible. Si necesitas un presupuesto para un proyecto con estos requisitos, puedes solicitarlo directamente en nuestra página de presupuesto de traducción para empresas.
Casos de uso: traducción confidencial en M&A, legal y RR. HH.
La traducción M&A es el escenario de mayor riesgo en la industria de la traducción confidencial. Los procesos de fusión y adquisición generan volúmenes elevados de documentación altamente sensible —term sheets, acuerdos de confidencialidad, informes de due diligence, contratos de compraventa— que deben traducirse con rapidez y con garantías absolutas de confidencialidad. Una filtración en este contexto puede comprometer la operación, generar responsabilidad regulatoria o afectar al precio de la transacción.
Los tres sectores donde la traducción confidencial RGPD tiene mayor impacto operativo y mayor riesgo en caso de incidente son:
- M&A y operaciones corporativas: due diligence, SPA (Share Purchase Agreement), cartas de intención, acuerdos de earn-out, documentación de cierre. Tiempo crítico, máxima confidencialidad, múltiples idiomas simultáneos.
- Legal y litigio: expedientes judiciales, escritos procesales, documentación arbitral, contratos internacionales, informes periciales. Los datos de las partes son datos personales sujetos a RGPD; la integridad del texto es crítica para la validez procesal.
- HH. y compliance: contratos de trabajo internacionales, políticas internas, evaluaciones de desempeño, expedientes disciplinarios, documentación de ERE. Datos sensibles de categoría especial en muchos casos.
En todos estos casos, el proceso de traducción profesional con garantías de confidencialidad debe incluir desde el primer momento los controles formales y técnicos descritos en este artículo, no como añadido opcional, sino como condición de inicio del proyecto.
La confidencialidad en traducción no es una opción, es una obligación
La traducción confidencial RGPD no es un servicio diferencial que algunas agencias ofrecen como extra. Es el estándar legal que cualquier empresa debe exigir cuando externaliza la traducción de documentación que contiene datos personales o información estratégica. El RGPD no distingue entre el núcleo del negocio y los servicios auxiliares: si un proveedor trata datos personales en tu nombre, tiene que hacerlo con las mismas garantías que aplicarías internamente.
Los riesgos reales —IA pública sin DPA, subencargados no declarados, canales de transferencia inseguros, ausencia de borrado certificado— son auditables, sancionables y, en caso de incidente, de responsabilidad directa del responsable del tratamiento. Conocerlos y exigir controles formales antes de compartir ningún fichero es la decisión que separa a los equipos de compliance que gestionan el riesgo de los que lo descubren cuando ya es tarde.
Si tu empresa necesita una evaluación del riesgo de confidencialidad en tus proyectos de traducción actuales, o quieres un flujo seguro para un proyecto específico de traducción M&A, legal o de datos sensibles, podemos proponerte un protocolo adaptado a tus requisitos en menos de 48 horas.
Suscríbete a nuestro boletín
Recibe contenidos sobre traducción profesional, localización web, SEO multilingüe e internacionalización para empresas.
